Uno de los sectores que se ha visto afectado por la irrupción del nuevo marco normativo en materia de protección de datos personales ha sido el de la investigación clínica. Términos como seudonimización o anonimización han llegado para quedarse, además del reconocimiento de nuevos derechos para los interesados, que está planteando sin lugar a duda nuevos retos al sector farmacéutico, y en muchos casos algunas controversias en cuanto a su aplicación efectiva.
Al tratarse de una materia regulada, el análisis debe partir de las previsiones del Reglamento (UE) 536/2014 del Parlamento Europeo y del Consejo de 16 de abril de 2014 sobre los ensayos clínicos de medicamentos de uso humano (en adelante, R 536/2014 sobre ensayos clínicos).
De ahí que desde la entrada en vigor del Reglamento Europeo de protección de datos (en adelante RGPD) y la Ley Orgánica 3/2018, de Protección de datos y garantía de derechos digitales (en adelante, LOPDGDD) exista una preocupación por parte de las autoridades de protección de datos en regular el uso y los límites de los tratamientos en esta materia. De hecho, en su día la Dirección General de Salud y Seguridad Alimenticia de la Comisión Europea publicó un informe de preguntas y respuestas donde analizaba la regulación sobre ensayos clínicos de medicamentos y el respeto a la protección de datos.
Es importante identificar cuál es la base jurídica del tratamiento de datos personales durante todo el ciclo de vida de un ensayo clínico.
Para ello, se considera pertinente distinguir dos categorías principales de actividades de tratamiento, por un lado, las operaciones de tratamiento relacionadas exclusivamente con actividades de investigación y las operaciones de tratamiento relacionadas con fines de protección de la salud.
Ambas categorías podrían basarse en las siguientes bases legitimadoras:
- Cumplimiento de una obligación legal (art. 6.1c RGPD): según el Comité Europeo de Protección de Datos, éste es el fundamento para el tratamiento de los datos personales que se enmarca en el cumplimiento de determinadas obligaciones establecidas en el R 536/2014 sobre ensayos clínicos, como es el caso de las obligaciones de notificación por el investigador de acontecimientos adversos al promotor, las de notificación por el promotor de sospechas de reacciones adversas graves o las de notificación anual del promotor a la agencia.
- Misión realizada en interés público (art. 6.1e RGPD): aquí el Comité Europeo entiende que el tratamiento de datos de carácter personal derivados de ensayos clínicos con fines de investigación puede ajustarse dentro del artículo 6.1 e) del RGPD, que admite la licitud del tratamiento cuando sea necesario para el cumplimiento de una misión efectuada en interés público, lo cual puede suceder cuando el ensayo sea resultado de una tarea encomendada a un organismo público o privado por una ley nacional.
- Consentimiento explícito (art. 6.1a RGPD): Fuera de esos casos, el tratamiento de datos personales con fines de investigación requiere, en principio, el consentimiento explícito del interesado. Y, en este punto, el Comité Europeo se ocupa de delimitar el concepto de consentimiento del que hemos hablado en uno de nuestros artículos.
Por otra parte, resulta relevante en este punto tener en cuenta los principios establecidos en el artículo 4 y siguientes de la LOPDGDD y el artículo 5 del RGPD, siendo esencial, garantizar la proporcionalidad en el tratamiento, de forma que los datos sean tratados de manera lícita, leal y transparente, recogidos única y exclusivamente para la finalidad para la que han sido recabados.
El hecho de que sean adecuados, pertinentes, limitados y exactos conlleva dos consecuencias fundamentales:
- Deberá reducirse el volumen de datos objeto de tratamiento a los que efectivamente sean indispensables para el cumplimiento de los fines propios del ensayo y, en todo caso, la preservación de la salud de los sujetos del ensayo;
- Y deberá igualmente minimizarse el número de personas o entidades con acceso a tales datos (informe jurídico 0038/2021 de la AEPD).
El RGPD recoge la necesidad de establecer claramente el mapa de intervinientes en todo tratamiento de datos, al objeto de determinar correctamente la atribución de responsabilidades de acuerdo con la citada norma.
En este caso, en la elaboración del protocolo, aprobación, desarrollo y seguimiento del ensayo intervienen una pluralidad de sujetos de entre los cuales cabe hacer referencia en todo caso a las figuras del promotor, el investigador y el monitor, correspondiendo al primero de ellos determinar la finalidad, el contenido y el uso del tratamiento aun cuando el mismo no accediera a los datos, respecto de esto último y como pone de manifiesto la AEPD en el informe jurídico mencionado (0038/2021), en base a reiterada jurisprudencia del Tribunal Supremo, la condición de responsable del tratamiento no exige el acceso efectivo a los datos, sino la potestad de decisión pudiendo coexistir en un supuesto concreto un responsable, que procede al tratamiento efectivo de los mismos, tomando determinadas decisiones sobre el tratamiento y un responsable, que decide, en general acerca de la existencia y alcance de ese tratamiento.
Al segundo de ellos, al investigador, se le atribuyen obligaciones como: garantizar el consentimiento informado, recoger, registrar y notificar los datos de forma correcta, notificar inmediatamente los acontecimientos adversos al promotor y garantizar que todas las personas implicadas respeten la confidencialidad entre otras, lo que a ojos de la AEPD implica que sea responsable del tratamiento, sin perjuicio de las obligaciones que puedan derivarse de lo dispuesto en la Ley 41/2002, de 14 de noviembre, y acceda a los datos sin codificar o disociar.
En cuanto a la figura del monitor, sirve de vínculo entre el promotor y el investigador principal, cuando estos no concurren en la misma persona, y se encarga del seguimiento directo de la realización del ensayo accediendo a los datos por cuenta del responsable del tratamiento, debiendo suscribirse entre el promotor y el monitor el contrato previsto en el artículo 28.3 del RGPD.
De acuerdo con los Considerandos 44, 51, 52 del R 536/2014 sobre ensayos clínicos, la monitorización del ensayo, en cuanto obligación específica del promotor, debe ser adecuada para garantizar la fiabilidad y solidez de los resultados. La monitorización también puede contribuir a la seguridad de los sujetos del ensayo, respetando sus derechos fundamentales y considerando las características del ensayo clínico, que también deben tenerse en cuenta al establecer el grado de monitorización. Además, para poder demostrar el cumplimiento del protocolo, el promotor y el investigador deben llevar un archivo maestro del ensayo clínico, con la documentación que permita una supervisión eficaz.
El archivo maestro del ensayo clínico debe conservarse de acuerdo con el art 57 del mismo reglamento, durante al menos veinticinco años tras la finalización del ensayo, o durante un período más largo si así lo disponen otros requisitos aplicables (…). De este modo se permitirá la supervisión de su conjunto por un tiempo más que considerable tras la finalización del ensayo clínico.
Dicho Reglamento también exige, como condición para aprobar el ensayo clínico, que se justifique, mediante declaración del promotor, que las instituciones participantes van a permitir la monitorización, por lo que previamente a la autorización del ensayo, el centro participante deberá haberse comprometido a facilitar el acceso necesario a la historia clínica para las tareas de monitorización, en virtud del correspondiente acuerdo con el promotor.
Como sabemos los ensayos clínicos implican un gran procesamiento de datos personales y en muchas ocasiones confidenciales, por lo que el promotor como responsable del mismo, deberá realizar una evaluación de impacto en protección de datos, la cual deberá establecer entre otras cuestiones:
- Una descripción de las operaciones de procesamiento y los propósitos del procesamiento.
- Una evaluación de la necesidad y proporcionalidad del procesamiento.
- Una evaluación de los riesgos a los derechos y libertades de sujetos de ensayos clínicos.
- Las medidas utilizadas para abordar esos riesgos.
Para finalizar nos parece interesante aclarar que el art 28 del R 536/2014 sobre ensayos clínicos, aborda específicamente los usos secundarios de los datos extraídos del ensayo, prestando especial atención al consentimiento. Sin embargo, se refiere únicamente a situaciones en las que el promotor desee tratar los datos del sujeto del ensayo clínico al margen del ámbito de aplicación del protocolo, pero solo y exclusivamente con fines científicos. Se puede ver con más detalle en otro de nuestros artículos.
